パスワードスプレー攻撃とは

概要

パスワードスプレー攻撃は、不正アクセスを目的とし ID やパスワードなどの組み合わせを総当たりで攻撃でする総当たり攻撃（ブルートフォースアタック）の一種です。

アカウントロックを回避することで、システム側に不正アクセスを検知されにくい特徴があります。

IP アドレスを変えたり、時間をずらしたりしながら、ゆっくりと攻撃を行う為「 low-and-slow 」とも呼ばれています。

解説

パスワードスプレー攻撃の仕組み

パスワードスプレー攻撃は同じパスワードを使用して同時に複数のアカウントにログインを試みます。

例）
まずアカウント「 userA01 ～ userA99 」に対してパスワード「 password001 」でログインを施行。
次に同じアカウント「 userA01 ～ userA99 」に対して別のパスワード「 password002 」でログインを施行。

同様に同じアカウントに別のパスワードでログインを施行。

3 回の失敗でアカウントロックがするものであればこれ以降は別のアカウントグループ「 userB01 ～ userB99 」に同様のアクセスを行います。

これによりシステム側で不正検知をされ難くしています。

パスワードスプレーの攻撃ターゲット

SSO （シングルサインオン）やクラウドサービスなどのウェブアプリケーションがターゲットになる事が多くなっています。

突破された際に連携しているサービスも不正アクセスの被害を受けることとなる為、注意が必要です。

パスワードスプレー攻撃への対策

推測されにくいパスワードの設定

大文字小文字を使用した英数記号の推測されにくいパスワードの設定

多要素認証の導入

ID ・パスワード＋ワンタイムパスワードなど複数の認証の導入

本ページは、情報セキュリティ分野で利用される範囲における用語解説を目的としている為、表現に正確性に欠ける場合がございます。あらかじめご了承ください。